MinIO présente une écriture d'objet non authentifiée via un contournement de signature d'identifiants de chaîne de requête dans les téléchargements de remorque non signés

L'impact de cette vulnérabilité est significatif car elle permet un accès non autorisé à des données stockées dans MinIO. Un attaquant peut exploiter cette faille en utilisant une clé d'accès valide (par exemple, la clé par défaut minioadmin ou une clé disposant des permissions d'écriture sur un bucket) et le nom du bucket cible. Il n'est pas nécessaire de connaître la clé secrète ou de fournir une signature valide pour écrire des objets. Cela peut conduire à la corruption de données, à l'insertion de fichiers malveillants, ou à la compromission de l'ensemble du système de stockage. La simplicité de l'exploitation rend cette vulnérabilité particulièrement préoccupante, car elle peut être exploitée par des attaquants ayant des compétences techniques limitées. Cette vulnérabilité pourrait être exploitée de manière similaire à des attaques de déni de service par saturation du stockage, ou pour exfiltrer des données sensibles si elles sont stockées dans les buckets affectés.

Organizations utilizing MinIO for object storage, particularly those using the default minioadmin access key or those with overly permissive access controls, are at significant risk. Shared hosting environments where multiple users share MinIO buckets are also particularly vulnerable, as a compromised user account could be leveraged to exploit this vulnerability.

• linux / server:

journalctl -u minio -g 'STREAMING-UNSIGNED-PAYLOAD-TRAILER'

• generic web:

curl -I https://<minio_endpoint>/<bucket_name>/<object_name> -H "X-Minio-Access-Key: <valid_access_key>" -H "X-Minio-Signature: "

• linux / server:

lsof -i :9000 | grep minio

1. 2026-04-22Disclosure

   disclosure

2. 2026-04-11Patch

   patch

1. Réservé2026-04-17
2. Publiée2026-04-22
3. EPSS mis à jour2026-04-29

La mitigation principale consiste à mettre à jour MinIO vers la version corrigée, RELEASE.2026-04-11T03-20-12Z ou ultérieure. Si la mise à jour n'est pas immédiatement possible, il est recommandé de restreindre l'accès aux buckets sensibles et de surveiller attentivement les journaux d'accès pour détecter toute activité suspecte. En attendant la mise à jour, il est possible de configurer un proxy inverse ou un WAF pour bloquer les requêtes suspectes, mais cela peut ne pas être suffisant pour empêcher l'exploitation. Il est également conseillé de révoquer les clés d'accès compromises et de renforcer les politiques d'authentification et d'autorisation. Après la mise à jour, vérifiez l'intégrité des données et assurez-vous que les journaux d'accès ne montrent aucune activité suspecte.